69号に「IoTの脆弱性と安全基準の法的な関係」の論文が掲載されました。存在に対するハザードがない状態として定義し、それの基準である安全基準と「脆弱性」という用語の関係を考察した論文です。具体的には、医療機器と発電所を例にとっています。このような観点の考察は、新規なものではないか、と自負しております。見て、今日(23日)は、ハラリ教授のホモ・デウスのDVDを見ました。ちなみにホモ・デウスは、いろいろいなところで話題に登っています。人類が神にとって代わるとき。次世代の成長産業は人間を神にアップグレードするビジネスですね。いままで、聞いていたこと、自分で、ボットを作って感じたこと、などが、整理されつつあるようにおもいます。内容は、両教授ともに基本的に、同じ将来のビジョンを持っているように思えます。自分も、そのようなビジョンを感じつつあるようにおもいます。class)クラスに分かれていくでしょうという話。人類は、何をするのか、ゲームとドラッグで引きこもり化するのでしょうか。この未来が見えていくのであれば、自分は、何をするべきなのか、センスのある人たちで、そのような未来を作る側に回るべく、一刻の猶予も許されないということになるののでしょうね。Ikuo「ハッカーをライセンス制に、シンガポールのサイバーセキュリティ法案」という記事がでています。シンガポール情報通信省(MCI)とサイバーセキュリティ庁(CSA)が、意見を募集しています。この法案は、ここから見ることができます。別表1および2からできています。ライセンス可能なサイバーセキュリティ調査サービスは、26条、27条で規定されています。記録の保管義務(34条)、ライセンス停止制度(35条)などの規定もあります。もって、何が、ライセンス可能なサイバーセキュリティサービスなのか、というのは、別表2で、掲載されており、調査的なものとしては、ペンテスト、非調査的なものとしては、管理されたSOCモニタリングサービスがあげられていますさらっと見た限りでも、興味深そうな法案です。ある程度、重要なセキュリティ侵害があった場合の調査については、積極的な行為・積極的な証拠取得も含めて、ライセンス制というのもあるかな、とおもうようになってきています。その意味で、要チェックの法案かとおもいます。ちなみに、フォレンジックス的なものについては、米国のある州では、探偵の免許が必要だったりします。探偵の免許が、フォレンジックスにふさわしいのかというと?だったりしますが、今後、機会があれば、研究することにしたいとおもいます。Ikuoあるインタビューで、「国家支援の攻撃行為については、むしろ、国際法的な位置づけが問題になります。その代表例は、ソニーピクチヤーズ・エンターテイメント事件です」と応えています。対抗措置を明言には、ふれたのですが、ビデオ自体には、ふれていなかったので、ここで書いておこうと思います。ビデオをご覧になることをお勧めします。VANDALISM”です。このビデオは、15秒ほどですが、法的な意味づけを端的に語っています。この事件は、実際に、(1)北朝鮮という国家の機関により(2)SPEという米国の会社の業務が、意図的に、妨害されたということになります。(1)の部分は、国家責任を発生させる行為かどうかということになります。この点については、通常は、「効果的コントロール」テストで判断されるというのが、一般の理解になります。(2)については、通常と、国家機関により民間の機能が妨害されたとしても、それ自体、米国の主権の問題を惹起するということにはなりません。重要なインフラとでもいうべきものが、意図的に妨害されるとなると、国家主権に対する問題を惹起するのだ、ということが語られています。この場合、一定のレベルを超えた場合には、武力行使に該当することになります。観点から判断されるというのが、一般的な理解になります。このレベルで武力行使のレベルにいたるためには、相当な結果が発生することが求められます。StuxNetレベルの結果が発生した場合でも、この武力行使のレベルに達したとは考えられません。その一方で、同時多発的にStuxNetレベルの結果が発生すれば、サイバーによって、武力攻撃が可能になるということです。理論的には、サイバー戦争が可能になるのですが、それは、実際に遠心分離機という戦略的・高額な機器が破壊されるという結果が発生するからであって、それを「サイバー戦争」というか、どうかは、単なるセンスの問題だろうと考えられます。ここで、武力行使と武力攻撃の用語を使いわけています。米国は、武力行使に達すれば、国連憲章51条における国家の自衛権の行使を正当化できるものと考えています。それ以外の国は、武力行使に達したとしても、51条の武力攻撃に該当すのには、さらに、一定の結果が発生したときと考えています。ここらへんの詳細なのは、また、別に論じましょう。ここで、オバマ大統領の発言に戻りましょう。北朝鮮による攻撃は、CyberWarにいたらないというのは、上記の観点から、把握して、武力行使のレベルに達していないという米国の判断を示している、ということです。CyberVandalismであるといっています。何もできないか、ということになると、むしろ、法的には、北朝鮮の行為は、国際的違法行為なので、対抗措置の問題になるといっているのです。この対抗措置は、比例原則のもと、米国の判断でなしうることになります。対抗措置については、このエントリで分析しています。これらの法的な判断をこのインタビューのもとで、ふれているのです。当たり前ですが、綿密な分析がなされていますし、決定的な証拠も取得されていたことが、伺われます。サイバー攻撃により惹起された被害にたいしての国家の対応は、このような枠組みで判断されるわけです。Ikuo法的な手法を用いて、ボットネット遮断をしたのは、最初としては、Waledecボットネット遮断事件になるかと思います。DNSを止めWaledacの復旧を妨害」に詳しいので、興味のある方は、そのページを参照してください。そのあと、2011年2月から、Rustockのテイクダウン作戦が行われ、それを前に調べる機会があったので、観点に紹介することにします。(なお、当時は、送達等の関係があったこともあって、裁判所の書類をみることができました。以下は、その当時の分析によります。)Rustockボットネットとは、Win32/Rustockというトロイの木馬を利用したボットネットであって、世界でもっとも広く蔓延したものです。このWin32/Rustockは、ターゲットのコンピュータに感染するためのドロッパーコンポーネント、Windowsシステムドライバーになりすますドライバーインストーラーコンポーネント、実際に実行されるルートキットドライバーコンポーネントから成り立っていて、これらが巧みに実行されると、標的となるコンピュータを乗っ取ってしまってC&Cサーバに接続して通信を行い、そのC&Cサーバからの命令に従って、ボットとなったコンピュータがスパムメッセージを送信することになります。このスパムは、サーバから送られるスパムテンプレートに基づいて送信された。典型的なスパムメッセージは、医薬品やその販売サイトに関連したものやマルウエアをダウンロードさせようとするものでした。被告らは、Rustockボットネットを購入し、もしくはリースしているものであって、およそ96ものC&Cサーバに指令を出しており、訴状の別紙Aにおいては、米国内のデータセンターなどにおかれているRustockのC&Cサーバが特定されています。訴状の請求原因の記述においてはRustockボットネットが、マイクロソフトおよびその消費者ユーザー(以下、ユーザーという)に対して損害を与えていること、ユーザーのコンピュータに無権原で侵入を行っていること、ユーザーのコンピュータおよびその資源が刑事的活動/不正な目的に悪用されてしまっていること、ユーザーが直接にスパムの活動の標的になってしまっていること、マイクロソフトは、Hotmailのアカウントを保護するためにコストを支払っていること、また、同様にRustockに感染してしまった人を支援するためにたくさんのコストを支払っていることなどが論じられています。